Base de données de signatures IDP
L’IDP basé sur les signatures surveille les paquets dans le réseau et les compare avec des modèles d’attaque préconfigurés et prédéterminés appelés signatures.
La gestion de la base de données de signatures du système de détection et de prévention des intrusions (IDP) est cruciale pour maintenir une sécurité réseau robuste. En permettant le téléchargement et l’installation de mises à jour régulières, vous vous assurez que votre réseau est protégé contre les dernières menaces. Vous pouvez configurer des objets et des groupes d’attaques personnalisés pour adapter les mesures de sécurité à vos besoins spécifiques, améliorant ainsi la flexibilité et l’efficacité du système. La fonctionnalité IDP de base est activée par défaut sans licence, mais pour recevoir des mises à jour quotidiennes, l’installation d’une clé de licence IDP signature-database-update est nécessaire. Cela garantit une protection continue en maintenant la base de données des attaques à jour avec les vulnérabilités émergentes. Pour plus d’informations sur les licences, reportez-vous à la section Clés de licence des fonctionnalités de Junos OS.
Vous pouvez effectuer les tâches suivantes pour gérer la base de données de signatures IDP :
Mettez à jour la base de données de signatures en téléchargeant les mises à jour de la base de données d’attaques à partir du site Web de Juniper Networks. De nouvelles attaques émergent quotidiennement, alors gardez votre base de données à jour.
Vérifiez la version de la base de données de signatures à l’aide de la CLI, car chaque version a un numéro unique, la dernière étant la plus élevée.
Mettez à jour le moteur de détection de protocoles en même temps que la base de données de signatures. Le détecteur de protocole IDP comprend des décodeurs de protocole de la couche applicative et des mises à jour avec la politique IDP. Elle est nécessaire pour mettre à jour les stratégies, même si elles restent inchangées.
Planifiez des mises à jour automatiques de la base de données de signatures sur l’appareil compatible IDP, à intervalles réguliers.
Avantages de la gestion de la base de données de signatures IDP
-
Assure une protection à jour contre les menaces émergentes en permettant de télécharger régulièrement les dernières mises à jour des signatures.
-
Offre la flexibilité nécessaire pour définir des paramètres de sécurité spécifiques en vous permettant de créer des objets et des groupes d’attaques personnalisés adaptés à chaque environnement réseau.
Package de signatures IDP de Junos OS via un serveur proxy explicite
Juniper Networks met régulièrement à jour la base de données d’attaques prédéfinie et la met à disposition sous forme de package de sécurité sur le site Web Juniper Networks https://signatures.juniper.net/cgi-bin/index.cgi. Cette base de données comprend des objets d’attaque et des groupes d’objets d’attaque que vous pouvez utiliser dans les stratégies d’IDP pour faire correspondre le trafic aux attaques connues.
Vous devez créer un profil de proxy et l’utiliser pour télécharger le package de signatures IDP via un serveur proxy explicite :
Configurez un serveur proxy Web sur votre appareil pour gérer les sessions HTTP(S) sortantes et l’authentification. Configurez le profil proxy avec les détails de l’hôte et du port du serveur proxy.
user@host# set services proxy profile profile-name protocol http host x.x.x.x port xxxx
Vous pouvez également configurer l’authentification par proxy dans le profil proxy. En définissant un nom d’utilisateur et un mot de passe, vous pouvez garantir un accès sécurisé aux flux et services externes.
[edit] user@host# set services proxy profile profile-name protocol http username <username> user@host# set services proxy profile profile-name protocol http password <password>
-
Appliquez le profil proxy. La prise en charge du serveur proxy Web IDP dépend de la configuration du profil proxy au niveau du système.
[edit] user@host# set security idp security-package proxy-profile proxy1
Lorsqu’un profil de proxy est appliqué sous [security idp security-package] la hiérarchie, le processus idpd se connecte à l’hôte proxy au lieu du serveur de téléchargement du pack de signatures. L’hôte proxy communique ensuite avec le serveur de téléchargement et fournit la réponse au processus idpd. Le processus idpd reçoit une notification chaque fois que des changements se produisent dans la [edit services proxy] hiérarchie.
Une fois l’installation du package de sécurité terminée, tous les objets d’attaque et groupes d’attaques IDP téléchargés et installés peuvent être configurés dans une ou plusieurs stratégies IDP. Ces objets d’attaque et l’objet d’attaque sont ensuite utilisés dans les règles de sécurité de la set security policies from-zone zone-name to-zone zone-name policy policy-name then permit application-services idp-policy idp-policy-name hiérarchie.
Vous créez une stratégie et spécifiez la nouvelle stratégie comme stratégie active. Vous pouvez télécharger uniquement les mises à jour récemment mises en ligne par Juniper Networks, puis mettre à jour la base de données des attaques, la stratégie en cours d’exécution et le détecteur à l’aide de ces mises à jour.
Vous pouvez désactiver le serveur proxy pour le téléchargement de signatures IDP à l’aide de l’icône delete security idp security-package proxy-profile proxy-profile
Exemple : Téléchargez le package de signature IDP de Junos OS via un serveur proxy explicite
Dans cet exemple, le pare-feu SRX Series télécharge et installe le package de sécurité IDP, ainsi que la table complète des objets d’attaque et des groupes d’objets d’attaque disponible sur un serveur externe, à l’aide du profil de proxy configuré.
- Vue d’ensemble
- Exigences
- Configuration rapide de la CLI
- Vérification
- Vérifier le téléchargement de la signature IDP via le serveur proxy
- Vérifier le statut de téléchargement de la signature IDP
Vue d’ensemble
Pour télécharger le package de signatures IDP à l’aide d’un serveur proxy, vous devez configurer le profil proxy pour les connexions HTTP.
Le Tableau 1 fournit le détail des paramètres utilisés dans cet exemple.
| Paramètre |
Nom |
|---|---|
| Nom du profil |
test_idp_proxy1 |
| Adresse IP du serveur proxy |
10.255.255.254 |
| Numéro de port du serveur proxy |
3128 |
Exigences
Cet exemple utilise les composants matériels et logiciels suivants :
-
Cet exemple de configuration est testé sur le pare-feu SRX Series avec Junos OS version 18.3R1 ou ultérieure.
Configuration rapide de la CLI
Pour configurer rapidement cet exemple, copiez les commandes suivantes, collez-les dans un fichier texte, supprimez les sauts de ligne, modifiez tous les détails nécessaires pour qu’ils correspondent à votre configuration réseau, copiez et collez les commandes dans la CLI au niveau de la edit hiérarchie, puis entrez en commit mode configuration.
set services proxy profile test_idp_proxy1 protocol http set services proxy profile test_idp_proxy1 protocol http host 10.255.255.254 set services proxy profile test_idp_proxy1 protocol http port 3128 set security idp security-package proxy-profile test_idp_proxy1 request security idp security-package download full-update
Procédure étape par étape
Pour créer un profil de proxy et télécharger le package de signatures IDP via le serveur proxy :
-
Spécifiez l’adresse IP de l’hôte proxy.
[edit]
user@host#set services proxy profile test_idp_proxy1 protocol http host 10.255.255.254 Spécifiez le numéro de port utilisé par le serveur proxy.
[edit]
user@host#set services proxy profile test_idp_proxy1 protocol http port 3128Spécifiez le profil de proxy qui doit être référencé pour le téléchargement du package de sécurité.
[edit] user@host# set security idp security-package proxy-profile test_idp_proxy1
Validez la configuration.
[edit] user@host# commit
Passez en mode opérationnel.
[edit] user@host# exit
Téléchargez le package de sécurité de l’IDP.
user@host> request security idp security-package download full-update
Il est toujours possible de télécharger et d’installer un package de signatures IDP hors ligne à partir du site Web de Juniper. Pour télécharger et installer le package de signature IDP hors connexion, exécutez la
request security idp security-package offline-downloadcommande CLI. Le processus d’installation reste le même pour les deux commandes de téléchargement.
Vérification
Vérifier le téléchargement de la signature IDP via le serveur proxy
Objet
Affichez les détails du téléchargement du package de signatures IDP via un serveur proxy.
Mesures à prendre
En mode opérationnel, entrez la commande pour afficher les détails du proxy spécifique à l’IDP show security idp security-package proxy-profile .
Proxy details : Security package proxy profile name :test_idp_proxy1 Protocol used :HTTP Ip address of proxy server :10.255.255.254 Port of proxy server :3128
Signification
Dans la sortie, vous pouvez trouver les détails du profil proxy spécifique à l’IDP dans Proxy Profile les champs et Proxy Address .
Vérifier le statut de téléchargement de la signature IDP
Objet
Vérifiez l’état du téléchargement du package de signature IDP.
Mesures à prendre
Vérifiez l’état du téléchargement du package de sécurité.
À partir du mode opérationnel, entrez la request security idp security-package download status commande.
user@host> request security idp security-package download statusDone;Successfully downloaded from(https://signatures.juniper.net/cgi-bin/index.cgi). Version info:3083(Tue Jul 17 13:23:36 2018 UTC, Detector=12.6.130180509)
Signification
La sortie affiche l’état de téléchargement du package de signature IDP.
Exemple : Télécharger et installer les packages de sécurité IDP en mode cluster de châssis
Cet exemple montre comment télécharger et installer la base de données de signatures IDP sur un périphérique fonctionnant en mode cluster de châssis.
Exigences
Avant de commencer, définissez l’ID de nœud de cluster du châssis et l’ID de cluster. Voir Exemple : Définition de l’ID de nœud et de l’ID de cluster pour les périphériques de Sécurité dans un cluster de châssis .
Vue d’ensemble
Lorsque vous téléchargez le package de sécurité IDP sur un périphérique fonctionnant en mode cluster de châssis, le package de sécurité est téléchargé sur le nœud principal, puis synchronisé avec le nœud secondaire. Cette synchronisation permet de conserver la même version du package de sécurité sur le nœud principal et le nœud secondaire. Voir Base de données de signatures IDP.
Sur les pare-feu SRX Series, si l’utilisation de la mémoire de votre appareil est élevée sur le plan de contrôle, le chargement d’une stratégie IDP volumineuse peut entraîner un manque de mémoire de l’appareil. Cela peut déclencher un redémarrage du système lors de la mise à jour du package de sécurité IDP.
Procédure
Procédure étape par étape
L’exemple suivant vous oblige à naviguer à différents niveaux dans la hiérarchie de configuration. Pour obtenir des instructions sur la procédure à suivre, consultez Utilisation de l’éditeur CLI en mode Configuration dans le Guide de l’utilisateur de la CLI.
Spécifiez l’URL du package de sécurité.
[edit] user@host# set security idp security-package url https://signatures.juniper.net/cgi-bin/index.cgi
Passez en mode opérationnel.
[edit] user@host# exit
Téléchargez le package de sécurité IDP sur le nœud principal (téléchargements dans le var/db/idpd/sec-download dossier.
{primary:node0}[edit] user@host> request security idp security-package downloadLe message suivant s’affiche.
node0: -------------------------------------------------------------------------- Will be processed in async mode. Check the status using the status checking CLI
Vérifiez l’état du téléchargement du package de sécurité.
{primary:node0}[edit] user@host> request security idp security-package download statusUne fois le téléchargement réussi, le message suivant s’affiche.
node0: -------------------------------------------------------------------------- Done;Successfully downloaded from (https://signatures.juniper.net/cgi-bin/index.cgi) and synchronized to backup. Version info:1871(Mon Mar 7 09:05:30 2011, Detector=11.4.140110223)
Mettez à jour la base de données d’attaques à l’aide de la
installcommande.user@host> request security idp security-package install
Vérifiez l’état de mise à jour de la base de données d’attaque. La sortie de la commande affiche des informations sur les versions téléchargées et installées de la base de données d’attaque.
{primary:node0}[edit] user@host> request security idp security-package install statusnode0: -------------------------------------------------------------------------- Done;Attack DB update : successful - [UpdateNumber=2011,ExportDate=Mon Oct 17 15:13:06 2011,Detector=11.6.140110920] Updating control-plane with new detector : successful Updating data-plane with new attack or detector : not performed due to no existing running policy found. node1: -------------------------------------------------------------------------- Done;Attack DB update : successful - [UpdateNumber=2011,ExportDate=Mon Oct 17 15:13:06 2011,Detector=11.6.140110920] Updating control-plane with new detector : successful Updating data-plane with new attack or detector : not performed due to no existing running policy found.Vous devez télécharger le package de signatures IDP dans le nœud principal. De cette façon, le package de sécurité est synchronisé sur le nœud secondaire.
Version de la base de données de signatures IDP
De nouveaux objets d’attaque sont fréquemment ajoutés au serveur de base de données de signatures ; En téléchargeant ces mises à jour et en les installant régulièrement sur vos équipements gérés, votre réseau est efficacement protégé contre les menaces les plus récentes. Lorsque de nouveaux objets d’attaque sont ajoutés au serveur de base de données de signatures, le numéro de version de la base de données est mis à jour avec le dernier numéro de version de la base de données. Chaque base de données de signatures a un numéro de version différent, la dernière base de données ayant le numéro le plus élevé.
Lors de la mise à jour de la base de données, le client de mise à jour de la base de signatures se connecte au site Web de Juniper Networks et obtient la mise à jour à l’aide d’une connexion HTTPS. La mise à jour calcule la différence entre les bases de données de signatures existantes et les plus récentes à l’aide de leur numéro de version. Après avoir téléchargé les mises à jour, les informations mises à jour sont fusionnées avec la base de données de signatures existante et le numéro de version est défini sur celui de la base de données de signatures la plus récente.
Voir aussi
Vérifiez la version de la base de données de signatures IDP
Objet
Affichez la version de la base de données de signatures.
Mesures à prendre
Dans le mode opérationnel de la CLI, entrez show security idp security-package-version.
user@host> show security idp security-package-version Attack database version:31(Wed Apr 16 15:53:46 2008) Detector version :9.1.140080400 Policy template version :N/A
Signification
La sortie affiche les numéros de version de la base de données de signatures, du détecteur de protocole et du modèle de stratégie sur l’équipement compatible IDP. Vérifiez les informations suivantes :
Attack database version—Le 16 avril 2008, la version de la base de données de signatures active sur le périphérique est31.Detector version: affiche le numéro de version du détecteur de protocole IDP en cours d’exécution sur le périphérique.Policy template version: affiche la version du modèle de stratégie installée dans le/var/db/scripts/commitrépertoire lorsque vous exécutez l’instructionrequest security idp security-package install policy-templatesde configuration dans la CLI.
Pour obtenir une description complète de la sortie, consultez la description show security idp security-package-version .
Voir aussi
Tableau de l’historique des modifications
La prise en charge des fonctionnalités est déterminée par la plateforme et la version que vous utilisez. Utilisez l’explorateur de fonctionnalités pour déterminer si une fonctionnalité est prise en charge sur votre plateforme.